Kişisel verilerin işlenmesinde aydınlatma yükümlülüğü, işlemenin başladığı anda yerine getirilmesi gereken bir yükümlülüktür; yurt dışına aktarım ise kendi şartlarına tabi ayrı bir işlemdir. 6698 sayılı KVKK ve içerik sorumluluğu bakımından 5651 sayılı Kanun birlikte değerlendirildiğinde, veri sorumlusunun takvimi tek bir metnin hazırlanmasından ibaret olmaz. Bu rehber, iki yükümlülüğü usul sırasıyla ele alır.
Aydınlatma Metni Hangi Anda Sunulmalı
Aydınlatma, verinin elde edildiği sırada yapılmalıdır; sonradan iletilen bir metin yükümlülüğü geriye dönük olarak karşılamaz. Bu nedenle metnin içeriğinden önce sunum anının doğru kurgulanması gerekir: form doldurulmadan önce, çağrı kaydı başlamadan önce, kamera alanına girilmeden önce.
- Veri sorumlusunun kimliği açık ve doğrulanabilir biçimde belirtilmelidir.
- İşleme amacı, her veri kategorisi için ayrı ve somut yazılmalıdır.
- Aktarım yapılan taraflar ve aktarım amacı gösterilmelidir.
- Hukuki sebep, açık rızadan ayrı olarak açıkça ifade edilmelidir.
- İlgili kişinin haklarını nasıl kullanacağı adres ve kanal verilerek açıklanmalıdır.
Yurt Dışı Aktarımın Ayrı Değerlendirilmesi
Yurt dışına aktarım, aydınlatmanın bir alt başlığı değil, kendi hukuki şartları olan ayrı bir işlemdir. Aktarımın hangi mekanizmaya dayandığı, taraflar arasında hangi belgenin imzalandığı ve gerekli hâllerde Kuruma bildirimin yapılıp yapılmadığı dosyada ayrı ayrı gösterilmelidir. Sunucunun yurt dışında bulunması hâlinde bu, çoğu zaman fark edilmeyen bir aktarım oluşturur.
Süre Kaybının Doğurduğu Sonuçlar
İlgili kişinin veri sorumlusuna başvurusu ve buna verilecek cevap, KVKK'da öngörülen süreler içinde tamamlanmalıdır. Cevap verilmemesi veya yetersiz cevap verilmesi hâlinde Kurula şikâyet yolu açılır ve bu yol da kendi süresine tabidir. Veri sorumlusu açısından cevapsız kalan bir başvuru, yalnızca bir gecikme değil, uyum düzeyinin sorgulanmasına yol açan bir kayıttır.
Uyum Dosyasında Bulunması Beklenenler
- Veri envanteri ve işleme faaliyetlerinin güncel dökümü.
- Her kanal için ayrı hazırlanmış aydınlatma metinleri ve sunum kanıtları.
- Aktarım yapılan taraflarla imzalanan sözleşmeler.
- İlgili kişi başvurularının kayıt defteri ve cevap tarihleri.
- İhlal hâlinde uygulanacak bildirim prosedürünün yazılı hâli.
Bu alanda risk, çoğunlukla kötü niyetten değil, kayıt tutmamaktan doğar. Yukarıdaki çerçeve genel bilgilendirme amaçlıdır; faaliyetin niteliği ve işlenen veri kategorileri yükümlülükleri değiştirebileceğinden, uyum çalışması öncesinde hukuki değerlendirme alınması yerinde olur.